Un attore malevolo ha consultato ed estratto dati fiscali e catastali riguardanti 678.000 fra privati e imprese dai sistemi della Direction g�n�rale des Finances publiques, l’amministrazione fiscale francese. Le intrusioni risalgono a giugno e luglio, ma il ministero dell’Economia le ha rese note solo venerd� 14 agosto, dopo che l’autore ne ha rivendicato la paternit� su un forum criminale e ha messo in vendita il database.
L’ingresso non � passato da una falla software. Il ministero parla di usurpazione di identificativi di un agente della DGFiP e di un terzo abilitato: due account legittimi, usati da chi non doveva. Un terzo abilitato � un soggetto esterno a cui il fisco ha concesso una via d’accesso ai propri sistemi, e in Francia rientrano nella categoria notai, ufficiali giudiziari ed enti locali. Ogni convenzione di questo tipo allarga il numero di credenziali che aprono la porta.
Per i privati sono stati consultati ed estratti reddito fiscale di riferimento, quoziente familiare e aliquota del prelievo alla fonte; per le imprese, ragione sociale e numero SIREN. Sono stati raggiunti anche dati catastali relativi agli indirizzi e alle superfici degli immobili. Non risultano compromessi gli spazi personali di privati e professionisti sul portale delle finanze pubbliche, n� le loro credenziali e password.
I controlli che non hanno visto l’esfiltrazione
La DGFiP dichiara di aver interrotto immediatamente gli accessi di tutti gli account coinvolti non appena rilevate le intrusioni. I controlli condotti in quell’occasione, per�, non hanno permesso di stabilire che ci fossero stati furti di dati, e il ministero attribuisce il mancato rilevamento alla sofisticazione dell’attacco. Le indagini approfondite avviate il 12 agosto, dopo la rivendicazione, hanno prodotto la cifra di 678.000.
Il 12 e il 13 agosto un utente che si firma ZeroBytes ha rivendicato gli accessi su un forum di criminalit� informatica e ha messo in vendita un database. Nel messaggio afferma di aver raggiunto il Serveur Professionnel de Donn�es Cadastrales, la piattaforma con cui l’amministrazione fiscale d� accesso al catasto centrale e ai dati di propriet� immobiliare.
Due contabilit� che non coincidono
Il portale, sostiene l’attaccante, esponeva dati su circa 20 milioni di cittadini francesi, ma l’estrazione si sarebbe fermata a 252.149 record riferiti a oltre due milioni di persone. “Non siamo riusciti a completare l’estrazione perch�, onestamente, � un incubo da prelevare in automatico e ci sarebbero voluti mesi”, si legge nel messaggio. “Sono ancora collegato al pannello, quindi se volete potete comprarlo insieme al database”.
La cifra del governo resta 678.000. Nessuno all’esterno pu� verificare l’affermazione sull’accesso ancora attivo, che si scontra con la ricostruzione ufficiale secondo cui tutti gli account compromessi sono stati chiusi al momento del rilevamento. La DGFiP dichiara che le indagini proseguono e che n� il volume preciso dei dati estratti n� il numero definitivo degli utenti coinvolti sono ancora fissati. L’attore sostiene inoltre di aver aggirato l’autenticazione a pi� fattori, circostanza che il ministero non ha confermato.
Gli altri incidenti e la risposta del governo
Il registro nazionale dei conti bancari FICOBA, gestito dallo stesso ministero, era stato violato pochi mesi prima, e anche l� la porta l’avevano aperta credenziali rubate: la comunicazione di febbraio parlava di oltre 1,2 milioni di account utente. Ad aprile � toccato a France Titres, l’agenzia che emette e gestisce i documenti amministrativi, con un database di 19 milioni di record messo in vendita e attribuito ai sistemi dell’agenzia nazionale per i titoli sicuri. A gennaio l’autorit� francese per la protezione dei dati aveva multato per 5 milioni di euro l’agenzia per l’impiego France Travail, dopo il furto dei dati personali di 43 milioni di persone.
Il piano per rafforzare la sicurezza informatica dello Stato � stato annunciato a fine aprile, con 200 milioni di euro di investimenti aggiuntivi e l’obiettivo che dal 2027 ogni ministero destini il 5% del proprio budget digitale alla cybersicurezza. Le intrusioni alla DGFiP sono avvenute a giugno e luglio.
Il primo ministro S�bastien Lecornu ha presieduto luned� una cellula di crisi interministeriale, quando un’indagine giudiziaria era gi� in corso. Lecornu ha chiesto all’ANSSI, l’agenzia nazionale per la sicurezza dei sistemi informativi, di verificare l’incidente e stabilirne le cause, e separatamente un audit sulla sicurezza dei sistemi della DGFiP, con conclusioni operative attese a settembre. La procura di Parigi ha aperto un’inchiesta per estrazione fraudolenta di dati e associazione a delinquere.
Le notifiche individuali sono partite la sera stessa, per posta elettronica e cartacea, e proseguono lungo la settimana: ciascun messaggio indica i dati che possono essere stati consultati o estratti e le misure di vigilanza da adottare. Il fisco ha investito della vicenda la CNIL, l’autorit� francese per la protezione dei dati, e ha annunciato che presenter� denuncia.
Reddito fiscale di riferimento e aliquota del prelievo alla fonte descrivono quanto guadagna un nucleo familiare; i dati catastali dicono dove abita e quanto � grande la casa. Le autorit� francesi hanno segnalato il rischio di truffe e frodi d’identit�, e lo scenario concreto � una telefonata da parte di chi conosce gi� reddito e indirizzo dell’interlocutore e dice di chiamare per conto del ministero delle Finanze.
L’attore ha diffuso un campione gratuito dei file, e almeno una persona che vi compare ne ha avuto notizia prima di ricevere qualsiasi comunicazione ufficiale. All’audit dell’ANSSI spetta stabilire come le credenziali di un dipendente e di un soggetto esterno abbiano aperto la strada a 678.000 posizioni fiscali, e perch� i controlli interni non abbiano visto uscire i dati. Fino a quel punto le ricostruzioni disponibili restano due, quella dell’amministrazione e quella di chi rivendica l’attacco.
#Adessonews seleziona nella rete articoli di particolare interesse.
Se vuoi leggere l’articolo completo clicca sul seguente link
